Giriş
TS ISO/IEC 15408 Ortak Kriterler-Common Criteria standardı ürün güvenliği alanında tüm dünyada yaygın olarak kullanılan bir standarttır. Bununla beraber, ürünlerin ortak kriterler değerlendirmelerinde yürütülen çalışmalar ve özellikle değerlendirmeye başvuran ürün sahipleri tarafından yapılacak çalışmalar yeterince bilinmemektedir.
Her ne kadar yapılacak çalışmalar ISO 15408 Ortak Kriterler-Common Criteria için tanımlı resmi paylaşım ortamı (https://www.commoncriteriaportal.org/cc/) üzerinden standart dokümanları halinde açık olarak yayınlansa da, bu dokümanları yorumlamak ve gerekli çıkarımları yapmak ortak kriterler standardının kendine has yapısı ve dili nedeniyle kolay değildir.
Bu yazıda EAL 2 (Evaluation Assurance Level) seviyesinde güvenlik iddia eden bir ürün için değerlendirme aşamaları ve bu aşamalarda ürün sahipleri tarafından yapılması beklenen çalışmalar verilecektir. Anlaşılabilirliği kolaylaştırmak açısından standardın beklentileri tüm detayları ile yansıtılmayıp ana hatları ile özetlenecektir.
Değerlendirme Adımları
TS ISO/IEC 15408 Ortak Kriterler-Common Criteria kapsamında yapılacak değerlendirme 6 temel adımdan oluşacaktır. Bu adımların her birinin sonunda değerlendirmeyi yapan laboratuvar tarafından bir rapor çıkarılarak sertifikasyon makamına sunulmaktadır. ISO/IEC 15408 Ortak Kriterler-Common Criteria dilinde garanti sınıfı olarak değerlendirilen bu adımlar aşağıda listelenmiştir:
- ASE : Assurance Security Evaluation (Güvenlik Hedefinin Garantisinin Sağlanması )
- ADV : Assurance Development (Tasarım Yapısının Garantisinin Sağlanması)
- AGD : Assurance Guidance Documents (Kılavuz Dokümanlarının Garantisinin Sağlanması)
- ALC : Assurance Life Cycle (Yaşam Döngüsü̈ Garantisinin Sağlanması )
- ATE : Assurance Tests (Test Garantisinin Sağlanması)
- AVA : Assurance Vulnerability Assessment (Açıklık Değerlendirmesi Garantisinin Sağlanması)
ASE Değerlendirmesi
Ürün ile ilgili risk analizinin ürün sahibi gözüyle anlatıldığı ve laboratuvar tarafından değerlendirildiği aşamadır.
Bu sınıf için ürünün sahibi ST (Security Target-Güvenlik Hedefi) adında bir doküman hazırlanır.
Güvenlik Hedefi Dokümanı (Security Target)
Bu dokümanda ürün sahibi; politikalarını, varsayımlarını belirler. Ürününde yer alan varlıklarını, onlara yönelik tehditlerini ve onları korumak için aldığı önlemlerini anlatır. Tüm bu anlatımını ve özellikle güvenlik fonksiyonlarını düz bir doküman şeklide değil de ISO 15408 Ortak Kriterler-Common Criteria standardında tanımlanan SFR (Security Functional Requiremet- Güvenlik Fonksiyonel Gereksinimleri) yapıları şeklinde ifade eder.
ADV Değerlendirmesi
Bu aşama ürün tasarımının sahibi tarafından detaylı olarak sunulduğu ve laboratuvar tarafından değerlendirildiği aşamadır.
Burada ürün sahibi 3 ana doküman hazırlar.
- Tasarım Dokümanı
- Fonksiyonel Belirtim Dokümanı
- Güvenlik Mimarisi Dokümanı
Tasarım Dokümanı (TOE Design Document)
Ürünün tüm tasarımının ayrıntılı olarak detaylı anlatıldığı dokümandır.
Ancak bu anlatımın doğrudan doğal bir dille değil aşağıdaki hususlar dikkate alınarak yapılması beklenir.
- Ürünün fonksiyonellikleri ve geliştirme yöntemi esas alınarak alt sistemlere bölünmesi beklenir.
- Bu bölünme yapılırken ST dokümanında anlatılan güvenlik fonksiyonlarına onların ISO 15408 Ortak Kriterler-Common Criteria dilinde anlatımı yapılmış SFR maddelerine uyumlu olması gerekir.
- Bu alt sistemlerin birbirleri ile ilişkilerinin gösterilmesi gerekir.
- Alt sistemlerin güvenlik fonksiyonlarını uygulama, destekleme veya ilgisiz olma durumlarına göre (SFR-Enforcing, SFR_Supporting, SFR-Non interfering) ayrılması ve bunların gerekçelendirilmesi gerekir.
Fonksiyonel Belirtim Dokümanı (Functional Specification Document)
Ürünün fonksiyonel yapısının arayüzler üzerinden işlendiği dokümandır. Bu kapsamda;
- Ürünün iç ve dış arayüzleri detaylandırılır.
- Ayrıca, bu arayüzlerden girilen parametreler ve alınan yanıtlar anlatılır.
- Arayüzlerin güvenlik fonksiyonlarını; uygulama, destekleme ve ilişkisiz olma durumları (Enforcing, Supporting, Non-Interfering) açısından sınıflandırılıp gerekçelendirilir.
Güvenli Mimari Dokümanı (Security Arthitecture Document)
Ürünün güvenlik fonksiyon ürün domain separation, non bypassibility ve self-protection özellikleri açısından anlatılır.
- Domain Separation kapsamında, ürününün uygulama ortamı veya kendi içindeki parçaları arasında bir domain ayrımı olup olmadığı irdelenmekte ve bu domain separation özelliğini ürünün nasıl sağladığı izah edilir.
- Self-protection kapsamında, ürünün kendi güvenlik fonksiyonlarını nasıl koruduğu gösterilir.
- Non-bypassibility kapsamında, ürünün güvenlik fonksiyonlarının nasıl bypass edilebileceği veya devre dışı bırakılacağı senaryoları düşünülüp bunlar ile ilgili önlemler belirtilir.
- Ayrıca literatür taraması kapsamında benzer ürün gruplarına yönelik yapılabilecek saldırılar listelenip ürünün bunlara nasıl karşı duracağı anlatılır.
AGD Değerlendirmesi
Bu aşama ürün sahibinin ürününe yönelik kurulum ve kullanıcı kılavuzlarını sunduğu ve laboratuvar tarafından bunların değerlendirildiği aşamadır.
Bu adımda ürün sahibinden iki doküman oluşturması beklenir.
- Kabul ve Kurulum Dokümanı
- Kullanıcı Kılavuzu Dokümanı
Kabul ve Kurulum Dokümanı (Acceptance and Installation Guidance)
Bu dokümanda ürünün son kullanıcı tarafından kabul ve kurulum süreçleri anlatılır. Bu süreçte alınan güvenlik önlemleri vurgulanır.
Kullanıcı Kılavuzu (User Guidance)
Bu dokümanda ürün güvenli kullanım şekli anlatılır. Ürün için; kullanıcı rolleri, sorumluluklar, arayüzler ve bunlardan alınması muhtemel yanıtları içeren ürün kullanımına dair bilgiler verilir.
Burada dikkat edilmesi gereken özel bir nokta ise, kılavuz dokümanlarının, ST dokümanında çevresel faktörlere bırakmış olduğu güvenlik gereklerinin burada dikkate alınması durumudur. ST dokümanında ürünün kullanım ortamı tarafından sağlanacağı iddia edilen tüm güvenlik gereksinimleri bu dokümanlarda yer almalı ve ürün kullanıcısının farkındalığı sağlanmalıdır.
ALC Değerlendirmesi
Bu aşama ürünün geliştirme ortamından sahadaki son kullanıcı tarafından kullanımına kadar sahibi tarafından detaylı olarak sunulduğu ve laboratuvar tarafından değerlendirildiği aşamadır.
Burada ürünün geliştirme ortamına ve yaşam döngüsüne ait aşağıdaki dokümanlar hazırlanır.
- Konfigürasyon Yönetim Sistemi Dokümanı
- Teslim Dokümanı
Konfigürasyon Yönetim Dokümanı
Bu doküman kapsamında ürün sahibi; ürünü geliştirme sürecinde kullandığı konfigürasyon yönetim sistemi yapısı; konfigürasyon öğeleri, sistem sorumluları gibi detaylar anlatır.
Burada dikkat çekilmesi gereken diğer bir nokta, ISO 15408 Ortak Kriterler-Common Criteria standardı kapsamında sertifika alacak bir ürün sahibinin bu ürünü geliştirirken ürün konfigürasyon öğelerini (ürün kodları, dokümanlar) takip için bir konfigürasyon yönetim sistemi kullanması zorunluluğudur.
Bu sistemin yeterli seviyede kullanım durumu ve diğer yaşam döngüsü şartlarına riayetin kontrolü için EAL 3 ve üzeri seviyelerde laboratuvar ve sertifikasyon makamı yetkilileri tarafından Saha Ziyareti (Site Visit) altında üretici ortamı denetlenir.
Ancak EAL 2 seviyesinde Saha Ziyareti zorunlu olmayıp laboratuvar ve sertifikasyon makamı takdirindedir.
Genel olarak konfigürasyon yönetim sisteminin yeterli seviyede kullanım durumu ve diğer yaşam döngüsü şartlarına riayetin kontrolü ürün sahibinin dokümanlarındaki beyan ve tutarlılığa göre yapılır.
Teslim Dokümanı (Delivery Document)
Bu dokümanda ürünün, ürün sahibi tarafından teslim yöntemi ve bu esnada alınan güvenlik önlemleri anlatılır.
ATE Değerlendirmesi
Bu adım kapsamında ürün sahibi ürünü için fonksiyonel testleri planlar, uygular ve dokümante eder. Daha sonra bu testlerin kapsam ve derinliğinin yeterliliğini göstermek için, yaptığı testleri “Tasarım Dokümanı” ve “Fonksiyonel Belirtim Dokümanı” içerinde yer alan, arayüz ve alt sistemler ile eşleştirir.
Bu kapsamda iki doküman hazırlanır.
- Test Dokümanı
- Test Kapsam Dokümanı
Test Dokümanı (Test Document)
Test planları, test tanımlamalarını ve test sonuçlarını içerir.
Test Kapsamı Dokümanı (Test Coverage Document)
Testlerin; arayüz ve alt sistemler ile ilişkilerini gösterir. Bu doküman ayrıca üretilmeyip bir önceki dokümanın ek bir bölümü de olabilir.
AVA Değerlendirmesi
Bu aşamada değerlendirme laboratuvarı; üreticiden bu noktaya kadar aldığı dokümanları, ilgili ürün grubundaki zafiyetlere yönelik literatür taramasını ve kendi uzmanlığını kullanarak ürüne yönelik sızma testi faaliyetleri gerçekleştirilir.
Ürün sahibi tarafından ek bir doküman hazırlanması gerekmez.
Sonuç
ISO/IEC 15408 Ortak Kriterler-Common Criteria standardı kapsamında EAL 2 seviyesinde ürün değerlendirmesinde ürün sahibinden her bir değerlendirme adımı için aşağıdaki dokümanların hazırlaması beklenir.
- ASE Değerlendirmesi
- Güvenlik Hedefi Dokümanı (Security Target)
- ADV Değerlendirmesi
- Tasarım Dokümanı
- Fonksiyonel Belirtim Dokümanı
- Güvenlik Mimarisi Dokümanı
- AGD Değerlendirmesi
- Kabul ve Kurulum Dokümanı
- Kullanıcı Kılavuzu Dokümanı
- ALC Değerlendirmesi
- Konfigürasyon Yönetim Sistemi Dokümanı
- Teslim Dokümanı
- ATE Değerlendirmesi
- Test Dokümanı
- Test Kapsamı Dokümanı
- AVA Değerlendirmesi
- –
Yukarıda verilen gerek listesi dokümanın baş tarafında belirtildiği gibi ürün değerlendirmelerinde yaygın olarak tercih edilen EAL 2 seviyesi içindir.
Bundan daha yüksek seviyeler için gerçekleşecek değerlendirme adımı sabit kalmakla beraber ürün sahibi tarafından hazırlanması gereken dokümanların adedi ve içerik açısından detay seviyesi artmaktadır.
Certby CC Lab Team
0 yorum